يُعد مجال حوكمة أمن المعلومات وإدارة المخاطر والامتثال (GRC) بمثابة الإطار الذي يحدد كيفية حماية المؤسسة لمعلوماتها، ويتحقق من فعالية هذه الحماية، ويقدم الأدلة على ذلك للأطراف الأخرى. عادةً لا يتولى فريق GRC مهاماً مثل إعداد جدران الحماية أو كتابة الأكواد البرمجية؛ بل يركز على تحديد التوجهات، وقياس المخاطر، وجمع الأدلة.
وتكمن أهمية هذا المجال في أن الأدوات الأمنية وحدها لا تكفي لكسب الثقة؛ فالعملاء يطلبون أدلة ملموسة، والجهات التنظيمية تتوقع الالتزام بالضوابط، والقادة يحتاجون إلى تحديد المخاطر التي تستحق تخصيص الموارد المالية لمعالجتها. وبذلك، يحوّل مجال GRC العمل التقني إلى قرارات وسجلات موثوقة يمكن الاعتماد عليها.
يجيب كل حرف من أحرف الاختصار (GRC) عن سؤال مختلف:
وتتضافر هذه العناصر معاً لتوفير “الضمان” (Assurance)، وهو ما يمثل ثقة مبررة ومبنية على حقائق بوجود ضوابط أمنية وفعاليتها. لنستعرض الآن كل مجال وما ينتج عنه عادةً من مخرجات:
نادراً ما تتولى وحدة الحوكمة والمخاطر والامتثال (GRC) التنفيذ المباشر للمهام التي تشرف عليها؛ إذ تعتمد على فرق عمل أخرى لإنجازها، ولذا تُعد العلاقات ركيزة أساسية في طبيعة هذا العمل.
لنأخذ على سبيل المثال عملية “مراجعة صلاحيات الوصول”، حيث يؤكد المديرون من لا يزال بحاجة إلى صلاحيات الدخول لأنظمة محددة. تتولى وحدة GRC تحديد المتطلبات ومتابعة مراحل الإنجاز، بينما يتولى فريق تكنولوجيا المعلومات (IT) إدارة العملية واستخراج قوائم المستخدمين. ويقوم الفريق الهندسي بتعديل صلاحيات الوصول في أنظمتهم الخاصة، في حين تقدم الإدارات القانونية وفرق الخصوصية المشورة بشأن الالتزامات المتعلقة بالبيانات. ولاحقاً، يقوم فريق التدقيق الداخلي بالتحقق من تنفيذ الإجراءات، بينما تتولى إدارة المشتريات التعامل مع الموردين الذين يخضعون لعمليات التدقيق والرقابة ذاتها. وفيما يلي كيفية توزيع هذه المسؤوليات فيما يتعلق بضابط الرقابة هذا: